Le chiffrement de disque protège-t-il un VPS en marche ?

Non. Tant que le serveur tourne, le disque est déverrouillé et la clé réside en RAM. Quiconque contrôle la machine hôte peut, en principe, lire cette mémoire. Le chiffrement protège les données au repos : une image disque copiée, un vieil instantané, un disque retiré.

Puis-je chiffrer le système de fichiers racine d'un VPS ?

Techniquement oui, mais le serveur attend alors une phrase de passe à chaque démarrage. Vous la saisissez dans la console web, ou vous installez un minuscule serveur SSH dans l'initramfs. Ça marche, c'est fragile et ça protège peu de plus — chiffrer un volume de données séparé apporte l'essentiel du bénéfice avec bien moins de tracas.

Qu'est-ce qui est mieux que le chiffrement de disque pour les données sensibles ?

Chiffrer les données elles-mêmes avant qu'elles soient écrites ou sauvegardées : sauvegardes chiffrées avec restic, fichiers chiffrés avec age ou GPG, chiffrement applicatif des secrets. Cette protection voyage avec les données, où qu'elles soient copiées.

Les sauvegardes EQVPS sont-elles chiffrées ?

Oui — les Managed Backups sont chiffrées avant de quitter l'hôte du serveur et restent chiffrées dans le stockage. Mais avec notre clé, car nous devons pouvoir les restaurer. Pour des données que vous seul devez pouvoir lire, chiffrez-les vous-même au préalable.

Que se passe-t-il si je perds la phrase de passe LUKS ?

Les données sont perdues. Il n'existe aucun moyen de récupération — c'est tout le principe du chiffrement. Conservez la phrase de passe dans un gestionnaire de mots de passe et ajoutez un second emplacement de clé en secours.

Chiffrement de disque sur un VPS : ce qu'il protège vraiment

Une recherche de « VPS axé confidentialité avec chiffrement complet du disque » se termine en général sur une case à cocher dans une page de tarifs. La case est bien réelle, mais ce qu'elle vous achète est plus étroit que ne le laisse entendre le marketing. Avant de chiffrer quoi que ce soit, il vaut la peine de préciser contre qui vous protégez les données — car dans un cas important, le chiffrement de disque ne fait rien du tout.

Ce que le chiffrement protège sur un VPS — et ce qu'il ne protège pas

Un VPS est une machine virtuelle sur le matériel de quelqu'un d'autre. Tant qu'elle tourne, le disque est déverrouillé et la clé de chiffrement vit dans la mémoire de la VM. La machine hôte peut, en principe, lire cette mémoire. Donc :

Le chiffrement aide contre :

Une copie de votre image disque ou d'un instantané qui atterrit là où elle ne devrait pas.
De vieux disques retirés après un remplacement de matériel.
Quelqu'un qui accède au stockage ou aux sauvegardes sans accéder à votre serveur en marche.

Le chiffrement n'aide pas contre :

Quiconque contrôle l'hôte en marche.
Un attaquant disposant d'un shell sur votre serveur — pour lui, le disque est déjà déverrouillé.
Les réquisitions reçues pendant que le serveur tourne.

Ce n'est pas une raison de s'en passer. C'est une raison de l'utiliser pour la bonne tâche et de ne pas le confondre avec l'invisibilité.

Pourquoi ne pas chiffrer tout le disque racine ?

Vous pouvez, mais chaque redémarrage s'arrête alors sur une demande de phrase de passe. Vous déverrouillez via la console web, ou vous intégrez un serveur SSH à l'initramfs (dropbear) pour déverrouiller à distance. Les mises à jour du noyau exigent désormais votre présence ; un redémarrage sans surveillance signifie une interruption jusqu'à ce que vous vous connectiez. Pour la plupart, le meilleur compromis est : disque système classique, données sensibles sur un volume chiffré que vous ouvrez après le démarrage.

Un coffre chiffré en cinq commandes

Un conteneur LUKS dans un fichier fonctionne sur n'importe quel VPS — aucun disque supplémentaire requis :

apt install -y cryptsetup
fallocate -l 10G /srv/vault.img
cryptsetup luksFormat /srv/vault.img          # set a strong passphrase
cryptsetup open /srv/vault.img vault
mkfs.ext4 /dev/mapper/vault

Montez-le et utilisez-le :

mkdir -p /mnt/vault && mount /dev/mapper/vault /mnt/vault

Après un redémarrage, le coffre reste verrouillé jusqu'à ce que vous le rouvriez :

cryptsetup open /srv/vault.img vault && mount /dev/mapper/vault /mnt/vault

Ajoutez une seconde phrase de passe comme clé de secours (cryptsetup luksAddKey /srv/vault.img) et conservez les deux dans un gestionnaire de mots de passe. Perdez-les et les données disparaissent pour de bon — aucun ticket de support ne pourra les récupérer.

Faites pointer vos services sensibles vers /mnt/vault (un répertoire de base de données, un stockage de documents, le dossier de données d'un gestionnaire de mots de passe) et faites-les démarrer seulement une fois le coffre monté.

Souvent mieux : chiffrer les données, pas le disque

Le chiffrement de disque s'arrête au disque. Les données que vous copiez ailleurs — sauvegardes, exports, synchronisations — voyagent en clair si vous ne les chiffrez pas aussi. Une protection qui suit les données vaut généralement plus :

Sauvegardes : restic chiffre tout côté client avant l'envoi.
Fichiers : age -p secrets.tar > secrets.tar.age chiffre avec une phrase de passe.
Secrets dans les applications : utilisez le chiffrement intégré de l'application (beaucoup de gestionnaires de mots de passe, le chiffrement côté serveur de Nextcloud, le chiffrement de colonnes en base).

Ce que cela donne chez EQVPS

Nous ne demandons pas de pièce d'identité, nous ne vendons pas vos données et nous publions un warrant canary. Les Managed Backups sont chiffrées avant de quitter l'hôte et restent chiffrées dans le stockage — mais avec notre clé, car une sauvegarde que nous ne pouvons pas restaurer n'est pas une sauvegarde. S'il vous faut des données que personne d'autre que vous ne peut lire, chiffrez-les vous-même avant qu'elles touchent le disque. C'est vrai sur n'importe quel serveur, y compris le nôtre.

À retenir

Chiffrez un volume de données pour tout ce que vous détesteriez voir dans un instantané qui fuite. Chiffrez les sauvegardes à la source. Et ne laissez pas une case à cocher vous convaincre qu'un serveur virtuel en marche est un coffre-fort — le meilleur outil de confidentialité reste de ne pas conserver les données dont vous n'avez pas besoin.